UPX脱壳全程分析（转）
【文章标题】: UPX脱壳全程分析
004629D0 > 60 pushad //保存现场(pushad 相当于 push 所有的寄存器)
004629D1 BE 00F04300 mov esi, 0043F000 //把代码段放到esi寄存器
004629D6 8DBE 0020FCFF lea edi, dword ptr [esi+FFFC2000] //得到基址
004629DC C787 9CC00400 7> mov dword ptr [edi+4C09C], 46CD167B //将第一个函数的地址放到[edi+ 4C09C]
004629E6 57 push edi //将基址压栈
004629E7 83CD FF or ebp, FFFFFFFF //将0012FFC0与 FFFFFFFF或
004629EA EB 0E jmp short 004629FA
004629EC 90 nop
004629ED 90 nop
004629EE 90 nop
004629EF 90 nop
004629F0 8A06 mov al, byte ptr [esi] //取出0043F004的一个字节
004629F2 46 inc esi //指向下一个字节
004629F3 8807 mov byte ptr [edi], al //从00401000开始，开始还原代码
004629F5 47 inc edi //指向下一个地址
004629F6 01DB add ebx, ebx //ebx + ebx，当ebx不等于零的时候跳转，下面的adc如果为，就取出下一个地址，并放到ebx中
004629F8 75 07 jnz short 00462A01
004629FA 8B1E mov ebx, dword ptr [esi] //将0043F000放到ebx中
004629FC 83EE FC sub esi, -4 //0043F000加4
004629FF 11DB adc ebx, ebx //进位加法器
00462A01 ^ 72 ED jb short 004629F0 // 向上跳转，ebx做为是否回跳的标志，循环处理代码
00462A03 B8 01000000 mov eax, 1 // eax = 1
00462A08 01DB add ebx, ebx // ebx依然作为循环的标志
00462A0A 75 07 jnz short 00462A13
00462A0C 8B1E mov ebx, dword ptr [esi] //esi指向的地址放到ebx里面
00462A0E 83EE FC sub esi, -4 //esi + 4
00462A11 11DB adc ebx, ebx //进位加法
00462A13 11C0 adc eax, eax //进位加法
00462A15 01DB add ebx, ebx //ebx + ebx
00462A17 73 0B jnb short 00462A24
00462A19 75 28 jnz short 00462A43 //跳到下面
00462A95 81FD 00FBFFFF cmp ebp, -500 //迷惑指令
00462A9B 83D1 02 adc ecx, 2 //进位加法
00462A9E 8D142F lea edx, dword ptr [edi+ebp] //edi + ebp的地址装载到edx，即原来的代码段的地址
00462AA1 83FD FC cmp ebp, -4 //判断跳转标志，EBP小于等于-4就跳
00462AA4 76 0E jbe short 00462AB4
00462AA6 8A02 mov al, byte ptr [edx] //取出代码段的一字节
00462AA8 42 inc edx //指向下一个地址
00462AA9 8807 mov byte ptr [edi], al //取出的代码放到edi里面
00462AAB 47 inc edi //指向下一个代码
00462AAC 49 dec ecx //计数器
00462AAD ^ 75 F7 jnz short 00462AA6 //关于计数器(ecx)的跳转
00462AAF ^ E9 42FFFFFF jmp 004629F6 //向上面跳，跳到add ebx，ebx
00462AB4 8B02 mov eax, dword ptr [edx] //处理输入表
00462AB6 83C2 04 add edx, 4 //edx + 4，指向下一个地址
00462AB9 8907 mov dword ptr [edi], eax //将代码放到edi
00462ABB 83C7 04 add edi, 4 // edi + 4， 存放代码的地址
00462AC3 01CF add edi, ecx //edi + ecx，指向接收代码的地址的最后一个字节
00462AC5 ^ E9 2CFFFFFF jmp 004629F6 //跳到 add ebx，ebx
00462AD2 8A07 mov al, byte ptr [edi] //指向我们原来代码段的代码，取出到AL里面
00462AD4 47 inc edi //指向下一个字节
00462AD5 2C E8 sub al, 0E8 //处理CALL
00462AD7 3C 01 cmp al, 1 //判断al是否大于1
00462AD9 ^ 77 F7 ja short 00462AD2 //循环，到下一个CALL的第一个字节为止
00462AE0 8B07 mov eax, dword ptr [edi] //取出里面的地址，里面的地址是定位CALL的绝对地址要用到的
00462AE2 8A5F 04 mov bl, byte ptr [edi+4] //得到下条地址的开始字节放到AL里面，CALL绝对地址就是下条指令开始+刚才上面取出的那个数字
00462AE5 66:C1E8 08 shr ax, 8 //ax右移8位
00462AE9 C1C0 10 rol eax, 10 //eax算术左移 8位
00462AEC 86C4 xchg ah, al //交换内容
00462AEE 29F8 sub eax, edi //eax - edi
00462AF0 80EB E8 sub bl, 0E8 //再减去E8
00462AF3 01F0 add eax, esi //eax + esi，其中 esi是代码段开始的地方
00462AF5 8907 mov dword ptr [edi], eax //这里处理CALL的地址，算出CALL的偏移到EDI里面
00462AF7 83C7 05 add edi, 5 //edi + 5，指向call的后面
00462AFA 88D8 mov al, bl //bl的内容放到al中
00462AFC ^ E2 D9 loopd short 00462AD7 //循环处理CALL，其中ecx作为计数器
00462AFE 8DBE 00F00500 lea edi, dword ptr [esi+5F000] //代码段的起始地址 + 5F000
00462B04 8B07 mov eax, dword ptr [edi] //现在EDI指向我们的代码的输入表
00462B06 09C0 or eax, eax //eax 或 eax ，判断eax是否为零
00462B0A 8B5F 04 mov ebx, dword ptr [edi+4] //取得这个地址的数据放到ebx
00462B0D 8D8430 AC2D0600 lea eax, dword ptr [eax+esi+62DAC] // 取得外壳段的KERNEL32.DLL的地址放eax
00462B14 01F3 add ebx, esi //我们代码段的起始地址加上刚才取出的那个数据
00462B16 50 push eax //kernel32.dll的地址
00462B17 83C7 08 add edi, 8 //edi + 8
00462B1A FF96 4C2E0600 call dword ptr [esi+62E4C] //装载kernel32.dll
00462B20 95 xchg eax, ebp //交换数据，即eax指向kernel32.dll的地址
00462B21 8A07 mov al, byte ptr [edi] //取得现在的EDI的地址指向的数据放到AL
00462B23 47 inc edi //指向下一个函数
00462B24 08C0 or al, al //al 或 al，判断al是否为零
00462B26 ^ 74 DC je short 00462B04
00462B28 89F9 mov ecx, edi //取出的函数的名字放到ecx里面
00462B2A 57 push edi //函数名字压栈
00462B2B 48 dec eax //eax - 1
00462B2C F2:AE repne scas byte ptr es:[edi]
00462B2E 55 push ebp //kernel32.dll的基址
00462B2F FF96 502E0600 call dword ptr [esi+62E50] //外壳的GetProcaddress
00462B35 09C0 or eax, eax //eax或eax，得到函数的地址
00462B37 74 07 je short 00462B40
00462B39 8903 mov dword ptr [ebx], eax //处理输入表
00462B3B 83C3 04 add ebx, 4 //ebx + 4，指向下一个输入表的地址
00462B46 8BAE 542E0600 mov ebp, dword ptr [esi+62E54] //VirtualProtect的地址放到ebp
00462B4C 8DBE 00F0FFFF lea edi, dword ptr [esi-1000] //指向PE头，即映像基址
00462B52 BB 00100000 mov ebx, 1000 //把1000放到ebx，即ebx = 1000
00462B5D FFD5 call ebp //改变属性
00462B5F 8D87 1F020000 lea eax, dword ptr [edi+21F] //现在eax指向PE头中区段的偏移起始位置
00462B65 8020 7F and byte ptr [eax], 7F //改写区段名字
00462B68 8060 28 7F and byte ptr [eax+28], 7F //改写区块属性第一个区块的属性
00462B75 61 popad //恢复现场
00462B76 8D4424 80 lea eax, dword ptr [esp-80]
00462B7A 6A 00 push 0
00462B7C 39C4 cmp esp, eax
00462B7E ^ 75 FA jnz short 00462B7A
00462B80 83EC 80 sub esp, -80
00462B83 ^ E9 109FFEFF jmp 0044CA98 //跨区段的转移，跳到OEP
提供一份附件，看起来可能更直观：
http://www.2cto.com/uploadfile/2012/1202/20121202072155254.zip
转载于:https://www.cnblogs.com/Fightingbirds/p/3172890.html
UPX脱壳全程分析（转）相关推荐
- UPX脱壳逐一跟踪分析
UPX脱壳逐一跟踪分析 写在前面 OD跟踪命令 先结合PE知识分析 分析"新年快乐.exe" 写在前面 之前看到的UPX脱壳文章都只是教了方法,对UPX的原理少有提及.看了< ...
- 对于UPX脱壳的解决
对于手动脱壳,我们有两种常用的安全工具,一个是od,另一个是ida.两个方法略有不同.对于脱一般的程序壳的时候,我主要用的是ida来脱壳,一般ida实在脱不了了再想到用od来脱,od,,所以我记录的大 ...
- CTF逆向-Upx脱壳攻防世界simple unpack
文章目录 前言 UPX 技术原理 应用范围 软件使用 CTF实战 程序查壳 UPX脱壳 总结 前言 加壳软件分两类: 压缩壳:压缩的目的是减少程序体积,如 ASPack.UPX.PECompact 等 ...
- upx脱壳工具_攻防世界simple_unpack_逆向之旅003
攻防世界simple_unpack_逆向之旅003 前言 一.使用exeinfo PE查看该文件 二.使用upx脱壳 三.使用ida打开脱壳处理后的文件 总结 前言 先给出题目的链接: https:/ ...
- [已发表，转载勘误]Android upx脱壳
已发在https://www.anquanke.com/post/id/197643 不过有部分内容发布之后无法编辑,勘误后如下. Android upx脱壳 写在前面 因为我不是pc平台过来的,而是 ...
- 重载内核全程分析笔记
标 题: [原创]重载内核全程分析笔记 作 者: Speeday 时 间: 2013-08-20,20:19:46 链 接: http://bbs.pediy.com/showthread.php?t ...
- 使用upx脱壳工具脱壳
使用upx脱壳工具脱壳(攻防世界新手第七题为例simple-unpack) 查壳工具链接:https://www.52pojie.cn/thread-437586-1-1.html 脱壳工具链接:ht ...
- 攻防世界reverse新手区——simple-unpack（upx脱壳）
方法一:傻瓜式 下载文件,用记事本打开,按Ctrl+f打开搜索,输入flag,得到 去掉乱码即为flag 方法二-UPX脱壳 1.下载文件,拖进PEiD 不是有效的PE文件,就要怀疑是不是ELF文件了 ...
- linux 下 upx 脱壳笔记
linux很少有需要crack的软件,所以最近总是自娱自乐.自己写的软件自己破着玩但是由于都是知道自己的手段,没有什么意思.真的希望有高手们写些crackme for linux . 最近看了看win ...
最新文章
- vue 项目配置sass
- JS面向对象——Object.defineProperty
- 静态生成html的原理
- ssh传输越多越慢_Linux下分析网站访问慢原因
- 多个集合计算笛卡尔积-Python
- EbNo（EbN0）和SNR
- Android5.1--电源管理之省电模式分析
- 京东面试官：接口的幂等性怎么设计？
- Java生成数据字典word文件
- Protues 8.8 SP1 无需破解 可用直装版 指路
- 马哥Linux 高端运维云计算就业班
- VM16 安装win 11
- C语言自定义函数使用
- [原] 写作及开发环境设置
- ESP32基于arduino开发的心跳体温检测系统（二）传感器的使用
- 图像分割算法实现（matlab/python）
- HTML/CSS/JS 页面蜘蛛网背景特效
- latex 编译eps文件时的问题
- (附源码)计算机毕业设计SSM大学生项目众筹系统
- 洛谷 P5108 仰望半月的夜空 解题报告